La nuova truffa del pedaggio su WhatsApp: come riconoscere lo smishing che svuota il conto

26/05/2026 ESTERI Preferisci Informazione.News su Google

Redazione Esteri   -   L’estate si avvicina, le auto tornano a riempire le autostrade italiane in direzione dei luoghi di villeggiatura, e con loro – puntuali come ogni anno – si moltiplicano i tentativi di frode telematica che sfruttano proprio questo momento di maggiore vulnerabilità. La Polizia Postale ha diffuso nelle ultime ore un’allerta riguardo a una massiccia campagna di smishing in corso su WhatsApp, una variante del più noto phishing che utilizza i messaggi istantanei per sottrarre dati sensibili e credenziali bancarie.

I criminali informatici si stanno spacciando per Autostrade per l’Italia, utilizzando nome, logo e persino un italiano formalmente corretto per rendere il raggiro quanto più credibile possibile. L’obiettivo dichiarato – anche se mai esplicitato, beninteso – è quello di indurre la vittima a cliccare su un collegamento che, invece di risolvere un presunto debito, le svuoterà il conto corrente in pochi minuti.

Il meccanismo della frode: urgenza e paura della sanzione

Il modus operandi seguito dai cybercriminali, secondo quanto ricostruito dagli investigatori, segue uno schema ormai collaudato ma non per questo meno insidioso. La vittima riceve un messaggio, spesso proveniente da un numero con prefisso internazionale (tipicamente +1, relativo a Stati Uniti o Canada), che recita più o meno testualmente: “Autostrade per l’Italia – risulta un pedaggio non pagato”. Il testo invita a regolarizzare immediatamente la posizione attraverso un link, minacciando sanzioni o more in caso di ritardo.

È proprio questo il meccanismo psicologico su cui i truffatori fanno leva: creare un senso di urgenza e di paura tale da spingere l’utente ad agire d’istinto, senza fermarsi a verificare l’attendibilità della comunicazione. Una volta cliccato sul link, però, l’internauta viene reindirizzato non al sito ufficiale di Autostrade, bensì a una copia quasi perfetta di quello, un portale clone progettato esclusivamente per carpire numeri di carta di credito, password e credenziali di accesso al conto corrente.

I campanelli d’allarme: come distinguere un vero messaggio da una truffa

Per difendersi da questa tipologia di raggiri, la Polizia di Stato ha elencato una serie di indicatori che possono aiutare anche l’utente meno esperto a riconoscere un tentativo di smishing. Il primo, e forse più evidente, riguarda la provenienza del messaggio: Autostrade per l’Italia non invia solleciti di pagamento tramite WhatsApp da numeri privati, tantomeno da prefissi esteri.

Il secondo segnale è il tono utilizzato nel testo: messaggi che contengono espressioni come “paga subito” o “evita sanzioni” hanno l’unico scopo di generare ansia e indurre a un’azione impulsiva. Il terzo elemento, e forse il più tecnico, è la presenza di link abbreviati o con piccole discrepanze rispetto al dominio ufficiale (ad esempio autostrade-it.com invece di autostrade.it).

Infine, e questo vale per qualsiasi comunicazione digitale, nessuna società seria chiederà mai dati sensibili come il codice della propria carta di credito o la password del proprio home banking attraverso un messaggio WhatsApp.

Le azioni da intraprendere: cosa fare se si riceve o si è caduti nella trappola

Nel caso in cui si riceva uno di questi messaggi sospetti, la prima regola – ribadita all’unisono da tutte le fonti ufficiali – è una sola: non cliccare assolutamente sul link. Una volta verificato che si tratta di un tentativo di frode, si consiglia di bloccare immediatamente il numero del mittente e di cancellare la chat, per evitare di cliccarvi accidentalmente in un secondo momento. La Polizia Postale mette a disposizione dei cittadini il portale commissariatodips.

It, attraverso il quale è possibile segnalare l’accaduto e fornire agli investigatori elementi utili per risalire ai responsabili. Ma la situazione più delicata è un’altra: cosa fare se, purtroppo, si è già cliccato sul link e magari si sono già forniti i propri dati? In questo caso la tempestività è fondamentale. Il primo passo, spiegano gli esperti, è contattare immediatamente la propria banca o il proprio istituto di credito per bloccare le carte di pagamento eventualmente compromesse.

Successivamente, occorre modificare tutte le password degli account utilizzati – a partire dalla posta elettronica, spesso utilizzata come recovery per altri servizi – e monitorare con attenzione i movimenti del proprio conto corrente nei giorni successivi. Solo dopo aver messo in sicurezza i propri risparmi, si potrà procedere con la denuncia formale alle forze dell’ordine.